La recopilación debe responder a una finalidad operativa legítima, ser proporcional al contexto y respetar los permisos de cada organización y persona usuaria.
1. Alcance y roles en el tratamiento
Esta Política explica cómo KROVIX trata información cuando una persona utiliza la plataforma, sus módulos web, superficies públicas de firma o verificación y mecanismos de autenticación habilitados. KROVIX es una plataforma de operaciones de campo utilizada por organizaciones para administrar proyectos, personas, evidencias, documentos, materiales, activos, actividades, aprobaciones y otros procesos relacionados.
La organización que concede acceso a una persona puede determinar finalidades, roles, permisos, periodos de conservación y políticas internas adicionales respecto de su propia operación. Cuando corresponda, esa organización deberá informar a su personal, clientes, proveedores o colaboradores sobre los tratamientos que realice mediante KROVIX. KROVIX presta la infraestructura tecnológica y aplica los controles del producto sin sustituir las obligaciones propias de cada organización.
2. Información que puede tratar KROVIX
Según los módulos habilitados y los permisos de la cuenta, KROVIX puede tratar las siguientes categorías de información:
- datos de cuenta e identidad, como nombre, correo electrónico, identificador de usuario, organización, rol y estado de acceso;
- datos de proyectos, obras, actividades, cuadrillas, clientes, proveedores, materiales, inventario, activos y vehículos;
- fotografías, archivos, documentos, reportes, firmas, aprobaciones, incidencias, checklists y otra evidencia operativa;
- datos técnicos necesarios para seguridad, auditoría y funcionamiento, como eventos de sesión, marcas de tiempo, identificadores de registro y trazabilidad de acciones;
- geolocalización cuando el módulo correspondiente esté habilitado, exista una finalidad operativa definida y la cuenta tenga autorización para utilizarlo;
- información generada o resumida por herramientas de automatización o inteligencia artificial, diferenciando siempre inferencias de evidencia primaria.
KROVIX no necesita acceso general a información ajena a la operación autorizada de la organización para prestar sus funciones principales.
3. Acceso con Google
Cuando se habilita la opción de iniciar sesión con Google, KROVIX utiliza Google como proveedor de identidad. Para el inicio de sesión estándar, el flujo está limitado a los alcances básicos de identidad:
Datos de Google que puede recibir KROVIX
El flujo de autenticación puede proporcionar nombre, dirección de correo electrónico, identificador de la cuenta y, cuando esté disponible, imagen de perfil. Estos datos se utilizan para autenticar a la persona, relacionar la sesión con su identidad institucional de KROVIX y proteger el acceso a la cuenta.
Uso, almacenamiento y compartición
La autenticación y la sesión se gestionan mediante Supabase Auth. KROVIX puede conservar dentro de su sistema de identidad la información básica necesaria para asociar la cuenta autenticada con el mismo usuario institucional. KROVIX no utiliza tablas operativas de negocio para guardar tokens de acceso o actualización de Google como credenciales empresariales.
La información recibida desde Google se usa para autenticación, seguridad de cuenta y continuidad de sesión autorizada. No se vende, no se utiliza para publicidad dirigida y no se comparte con terceros para fines publicitarios. Solo puede ser procesada por los proveedores tecnológicos necesarios para prestar y proteger el servicio, conforme a sus funciones y condiciones aplicables.
Google autentica; KROVIX autoriza
Una identidad válida de Google no concede automáticamente acceso operativo. Después de la autenticación, KROVIX valida que exista un perfil institucional activo asociado con una organización y con permisos vigentes. La empresa, el rol, el poder de firma y los permisos de negocio nunca se derivan del nombre, dominio de correo, foto u otros metadatos del perfil de Google.
Revocación y cambios futuros
La persona puede revocar el acceso concedido a KROVIX desde la configuración de seguridad de su cuenta de Google. Esa revocación impide continuar utilizando ese mecanismo de autenticación, pero no necesariamente elimina registros operativos, documentos, firmas, evidencia o auditoría que deban conservarse por una finalidad legítima u obligación aplicable.
Si en el futuro KROVIX incorpora una integración con APIs de Google que requiera datos adicionales o alcances distintos a identidad básica, esta Política y las pantallas de consentimiento deberán actualizarse antes de habilitar ese tratamiento.
4. Finalidades del tratamiento
La información puede utilizarse para autenticar usuarios, aplicar permisos, operar proyectos y procesos de campo, mostrar información autorizada, conservar evidencia y trazabilidad, generar reportes, ejecutar aprobaciones o firmas, proteger la plataforma, investigar errores o incidentes, cumplir obligaciones contractuales y mejorar la confiabilidad del servicio.
Cuando una organización habilite capacidades adicionales, deberá existir una relación razonable entre los datos tratados y la finalidad de la función.
5. Geolocalización y operación de campo
La geolocalización puede utilizarse en funciones de operación de campo, jornada, evidencia, asignación o contexto de proyecto cuando esté expresamente habilitada. KROVIX no considera que una coordenada aislada constituya por sí misma una conclusión sobre conducta, presencia, ausencia, cumplimiento o incumplimiento.
Las organizaciones usuarias deben aplicar criterios de necesidad y proporcionalidad, informar a las personas afectadas cuando corresponda y respetar las reglas laborales, contractuales y de privacidad que les resulten aplicables.
6. Evidencia, documentos e inteligencia artificial
KROVIX busca preservar el contexto de registros relevantes, incluyendo autoría, tiempo, procedencia, integridad y relación con el proceso operativo. Cuando existan originales, una visualización, resumen o inferencia no debe sustituirlos.
Las funciones de inteligencia artificial pueden ayudar a clasificar, extraer, resumir, buscar, priorizar o detectar patrones. Sus resultados deben tratarse como asistencia y no como prueba automática de una conducta. En decisiones sensibles, KROVIX promueve revisión humana y acceso al contexto y registros originales disponibles.
7. Proveedores tecnológicos y transferencias
KROVIX puede apoyarse en proveedores de infraestructura, hosting, base de datos, almacenamiento, autenticación, seguridad y otros servicios tecnológicos necesarios para operar la plataforma. Estos proveedores pueden procesar información únicamente en la medida necesaria para prestar sus servicios y conforme a sus contratos, condiciones y medidas de seguridad aplicables.
Actualmente, la arquitectura de KROVIX utiliza servicios de Supabase para autenticación y backend y Netlify para alojamiento de la aplicación web. Cuando se utilice Google Sign-In, Google participa como proveedor de identidad.
8. Conservación de información
Los periodos de conservación pueden variar según el tipo de registro, la finalidad operativa, las obligaciones de la organización usuaria, los acuerdos aplicables y la necesidad de mantener auditoría o evidencia. KROVIX procura no conservar información durante más tiempo del razonablemente necesario para esas finalidades.
Algunos registros de evidencia, aprobación, firma o auditoría pueden requerir conservación más prolongada para proteger su integridad o permitir reconstruir hechos. Cuando exista una obligación o finalidad legítima de preservar evidencia, una solicitud de eliminación puede requerir análisis antes de ejecutarse.
9. Seguridad y separación entre organizaciones
KROVIX utiliza controles de autenticación, autorización, separación lógica por organización, políticas de acceso a datos, trazabilidad y otras medidas técnicas orientadas a reducir accesos no autorizados. La interfaz visual no constituye por sí sola un control de seguridad; las acciones sensibles deben ser validadas por los mecanismos de backend correspondientes.
Ningún sistema puede garantizar riesgo cero. Las personas usuarias deben proteger sus credenciales y comunicar rápidamente cualquier sospecha de acceso indebido a la organización que administra su cuenta.
10. Acceso, corrección, actualización y eliminación
Las personas pueden solicitar acceso, corrección, actualización o eliminación de información personal conforme a la relación que tengan con la organización que les otorgó acceso y a la legislación aplicable. La primera vía de contacto es el administrador de esa organización o el canal de soporte habilitado dentro de KROVIX.
Una solicitud de eliminación puede no implicar borrado inmediato de toda la información cuando existan registros que deban preservarse por seguridad, auditoría, evidencia, cumplimiento contractual o una obligación aplicable. Cuando proceda, se limitará el tratamiento a lo necesario para esas finalidades.
11. Cambios a esta Política
KROVIX puede actualizar esta Política para reflejar cambios en el producto, la arquitectura, proveedores, requisitos legales o prácticas de privacidad. La fecha de actualización se mostrará al inicio del documento. Cuando un cambio sea material, podrá comunicarse mediante la plataforma o por los canales definidos con las organizaciones usuarias.
Para conocer qué es KROVIX y cómo está concebido el producto, consulta la página pública de KROVIX. El uso de la plataforma también está sujeto a los Términos del Servicio.